🛡️ CVE-2026-41091 - RedSun

Microsoft Defender 권한 상승 취약점

RedSun은 Microsoft Defender의 맬웨어 방지 엔진에서 링크 추종 취약점을 악용하는 로컬 권한 상승(LPE) 기술(및 관련 PoC)입니다. 이는 낮은 권한의 인증된 공격자가 Defender의 복구 및 클라우드 파일 롤백 메커니즘을 속여 공격자가 제어하는 파일을 보호된 디렉터리(예: C:\Windows\System32)에 쓰도록 하여 SYSTEM 권한을 획득할 수 있게 합니다.

📋 개요

• CVE ID: CVE-2026-41091
• 취약점 유형: 파일 액세스 전 부적절한 링크 확인 (CWE-59 - 링크 추종)
• 영향받는 구성 요소: Microsoft 맬웨어 방지 엔진
• 근본 원인: Defender가 클라우드 태그된 파일의 복구/롤백 중 링크/접합을 제대로 확인하지 못하여 권한 있는 쓰기가 리디렉션됨.
• 영향: 로컬 인증 공격자가 표준 사용자에서 SYSTEM 권한으로 상승 가능.
• 공개 PoC: 보안 연구원 Nightmare-Eclipse가 공개 (BlueHammer 및 UnDefend를 포함한 시리즈의 일부).

"Windows Defender가 악성 파일에 클라우드 태그가 있음을 인식하면... 바이러스 백신이 파일을 다시 쓰는 것이 좋은 생각이라고 판단합니다... PoC는 이 동작을 남용하여 시스템 파일을 덮어씁니다." — Nightmare-Eclipse

🛠️ 기술 세부 사항

RedSun은 Defender의 Cloud Files API, oplock, 디렉터리 접합, 복구 경로(특히 TieringEngineService.exe / 실시간 검사 정리) 처리 방식을 활용합니다.

클라우드 속성이 있는 악성 파일을 배치하고 경로(접합/심볼릭 링크)를 조작함으로써, 익스플로잇은 Defender(SYSTEM으로 실행)가 파일을 권한 있는 위치로 복원/다시 쓰게 하여 임의 파일 쓰기 → SYSTEM으로 코드 실행을 가능하게 합니다.

주요 기술:

• 클라우드 파일 태깅 및 롤백
• 디렉터리 접합 / 재분석 지점
• 경쟁 조건(TOCTOU 유사 동작)
• 권한 있는 Defender 서비스 하이재킹

📊 취약점 메트릭

🗓️ 타임라인

• 2026년 4월 1516일: Nightmare-Eclipse가 GitHub에 RedSun PoC 공개 (Nightmare-Eclipse/RedSun).
• 2026년 4월: 관련 BlueHammer (CVE-2026-33825) 패치됨.
• 2026년 5월 19~20일: Microsoft, CVE-2026-41091(RedSun) 및 관련 문제에 대한 패치 릴리스.
• 2026년 5월 20일: CISA, 알려진 익스플로잇 취약점(KEV) 카탈로그에 추가.
• 2026년 5월 21일: 광범위한 공개 보도.

✅ 완화 및 패치

즉시 업데이트 — 이 취약점은 활발히 악용되고 있습니다.

확인 및 업데이트 방법

# 현재 Defender 엔진 버전 확인
Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion

# 강제 업데이트
Update-MpEngine

• 권장 버전:
  • 맬웨어 방지 엔진: 1.1.26040.8 이상
  • 맬웨어 방지 플랫폼: 4.18.26040.7 이상

추가 권장 사항:

• 실시간 보호 및 자동 업데이트를 활성화합니다.
• C:\Windows\System32, Defender 복구 로그, 비정상적인 TieringEngineService.exe 동작을 모니터링합니다.
• Windows 업데이트 / Defender 서명 업데이트를 적용합니다.

🧪 익스플로잇

요구 사항:

• 낮은 권한의 로컬 계정
• Defender 실시간 보호 활성화

영향:

• 전체 SYSTEM 액세스
• 지속성, 자격 증명 덤프, 방어 비활성화 등의 가능성

공개 PoC 저장소: 0xBlackash/RedSun

⚠️ 참고: 이는 교육 및 방어 목적으로만 사용됩니다. 격리된 환경에서 테스트하십시오.

🔗 참고 자료

• Microsoft 보안 권고
• NVD 항목
• CISA KEV 카탈로그
• 관련: BlueHammer (CVE-2026-33825) 및 UnDefend

👏 크레딧

• Microsoft 보안 대응 센터 (MSRC)
• 야생 활동을 분석하고 보고한 보안 연구원 및 공급업체 (Huntress, Fabian Bader 등)

보안 커뮤니티를 위해 ❤️로 제작됨

마지막 업데이트: 2026년 5월 21일